GitLab schließt kritische Remote-Code-Execution-Lücke mit CVSS 10.0 in Version 19.5.1
GitLab hat die kritischen Patch-Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 veröffentlicht. Sie beheben eine Schwachstelle mit CVSS 10.0, über die ein nicht authentifizierter Nutzer beliebigen Code auf dem Server ausführen könnte. Das Unternehmen empfiehlt dringend, alle selbst verwalteten Installationen umgehend zu aktualisieren.
- GitLab hat am 21. Oktober 2026 die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 veröffentlicht.
- CVE-2026-110264, ein Integer-Überlauf im Regex-Compiler, hat einen CVSS-Wert von 10.0 und könnte nicht authentifizierte Codeausführung ermöglichen.
- Das Release behebt zwölf Schwachstellen: eine kritische, zwei hohe, fünf mittlere und vier niedrige.
- GitLab.com ist bereits gepatcht; selbst verwaltete Installationen sollten umgehend aktualisieren.
- GitLab hat für Kunden mit selbst verwalteten Instanzen zwei Threat Detections veröffentlicht, um Ausnutzungsversuche zu erkennen.
Die kritische Lücke: Integer-Überlauf im Regex-Compiler
Das gravierendste Problem ist CVE-2026-110264, ein Integer-Überlauf im Compiler für reguläre Ausdrücke, der GitLab Community Edition (CE) und Enterprise Edition (EE) betrifft. Laut GitLab konnte ein nicht authentifizierter Nutzer unter bestimmten Bedingungen beliebigen Code auf dem GitLab-Server ausführen, indem er einen speziell präparierten regulären Ausdruck einschleuste.
Die Schwachstelle hat einen CVSS-Wert von 10.0. Betroffen sind alle Versionen ab 7.0 vor 18.11.13, ab 19.0 vor 19.0.10, ab 19.1 vor 19.1.9, ab 19.2 vor 19.2.9, ab 19.3 vor 19.3.6, ab 19.4 vor 19.4.3 sowie ab 19.5 vor 19.5.1. Neben den regulären Patch-Releases hat GitLab den Fix zusätzlich auf 18.11.13, 19.0.10, 19.1.9 und 19.2.9 zurückportiert.
GitLab nennt den Forscher joaxcar, der den Fehler über das Bug-Bounty-Programm des Unternehmens auf HackerOne gemeldet hat. Für Kunden mit selbst verwalteten Instanzen hat das GitLab-Sicherheitsteam zwei Threat Detections veröffentlicht, mit denen sich Ausnutzungsversuche erkennen lassen: „Onigmo native worker crash“ und „Org mode render error burst“.
Weitere Schwachstellen in dem Release
Insgesamt umfasst das Release zwölf Sicherheitskorrekturen: eine kritische, zwei hohe, fünf mittlere und vier niedrige Schweregrade. Die beiden Lücken mit hohem Schweregrad sind:
- CVE-2026-15723 (CVSS 8.2): Wenn sowohl OmniAuth SAML als auch das automatische LDAP-Linking aktiviert waren, konnte ein authentifizierter Nutzer ein bestehendes, an LDAP gebundenes Konto übernehmen, ohne dass der betroffene Nutzer etwas tun musste.
- CVE-2026-112212 (CVSS 7.5): Ein nicht authentifizierter Nutzer konnte das OAuth/OIDC-Discovery-Dokument in einem gemeinsam genutzten Cache manipulieren, um bestimmte Abläufe auf einen extern kontrollierten Server umzuleiten. Entdeckt hat diese Lücke laut GitLab das eigene Teammitglied Peter Arts.
Unter den Korrekturen mittleren Schweregrads betraf CVE-2026-12664 ein GraphQL-Feld, über das ein Nutzer mit einem Token mit read_api-Scope die eingehende E-Mail-Adresse eines Projekts abrufen und Work Items anlegen konnte. CVE-2026-16255 betraf die unvollständige Durchsetzung der instanzweiten SAML/LDAP-Mitgliedschaftssperre in GitLab EE. Über CVE-2026-105777 konnten sensible interne Server-Zugangsdaten durch interne Response-Header offengelegt werden. CVE-2026-13319 erlaubte einem authentifizierten Nutzer, Meilenstein-Metadaten wie Titel, Beschreibungen und vollständige Projektpfade aus privaten Projekten ohne Mitgliedschaft zu lesen. CVE-2026-112378 konnte einem authentifizierten Nutzer Zugriff auf kostenpflichtige KI-Funktionen ohne gültiges Abonnement verschaffen.
In der Ankündigung sind zudem vier Schwachstellen mit niedrigem Schweregrad aufgeführt. Sie betreffen die Darstellung von Merge-Request-Titeln, die Durchsetzung von Genehmigungsrichtlinien für Merge Requests, Sicherheitsbefunde sowie die Durchsetzung der Duo-Admin-Sperre auf Gruppenebene für Amazon-Q-Einstellungen.
Wer jetzt handeln muss
GitLab.com läuft bereits mit der gepatchten Version. GitLab-Dedicated-Mandanten mit 19.3.5-internal0 und 19.4.2-internal0 oder neuer enthalten die Korrekturen bereits und müssen nichts unternehmen. Handeln müssen dagegen selbst verwaltete Installationen, und zwar unabhängig vom Bereitstellungstyp, da keiner als nicht betroffen ausgewiesen wird.
GitLab erklärt, dass Sicherheitskorrekturen in Patch-Releases ausgeliefert werden, entweder planmäßig am zweiten und vierten Mittwoch jedes Monats oder als außerplanmäßige kritische Patches für Schwachstellen mit hohem Schweregrad. Die Details zu den einzelnen Sicherheitsproblemen werden 90 Tage nach dem Release, das sie behoben hat, im Issue Tracker öffentlich gemacht.
Was das für Administratoren bedeutet
Angesichts des maximalen CVSS-Werts, der fehlenden Authentifizierungsanforderung und der Möglichkeit zur Ausführung beliebigen Codes ist die Priorität für Administratoren selbst verwalteter Instanzen klar: auf den neuesten Patch-Stand der jeweils unterstützten Version wechseln. GitLab hält es für „dringend empfohlen“, dass Kunden stets den aktuellen Patch-Release einsetzen, um eine gute Sicherheitshygiene zu wahren. Teams, die nicht sofort aktualisieren können, sollten zumindest die beiden veröffentlichten Detections nutzen, um in der Zwischenzeit auf Ausnutzungsversuche zu achten.
